ผู้สอนชาย: ใช่ เรามาพูดถึงวิธีที่เราจะตรวจจับการโจมตีจากพิษ
ARP กันดีกว่า
ก่อนอื่น ให้ฉันแสดงตาราง ARP ให้คุณดู
ดังนั้น ในอุปกรณ์ Windows
ของเรา ซึ่งเป็นอุปกรณ์ที่เราโจมตีอยู่เสมอ
ฉันจะเรียกใช้คำสั่ง arp-a เพื่อแสดงรายการทั้งหมดในตาราง
ARP
ดังนั้นคอมพิวเตอร์แต่ละเครื่องจึงมีตาราง
ARP และตารางนั้นเชื่อมโยงที่อยู่ IP กับที่อยู่ Mac
ดังนั้นเราจึงสามารถเห็นที่อยู่ IP ของเราเตอร์ซึ่งก็คือ
10 20. 14. 1 เชื่อมโยงกับที่อยู่
Mac, 52-54 และสิ้นสุดใน
35-00
นี่คือที่อยู่ Mac สำหรับ IP สำหรับเราเตอร์
ดังนั้นวิธีที่การวางยาพิษของ ARP ทำงานเหมือนที่เราได้พูดคุยกันก่อนหน้านี้ก็ใช้ได้ผลเพราะคำขอแต่ละรายการได้รับความเชื่อถือและลูกค้ายอมรับการตอบกลับแม้ว่าจะไม่ได้ส่งคำขอก็ตาม
สิ่งที่แฮ็กเกอร์ทำคือเขาส่งการตอบกลับไปยังไคลเอนต์โดยบอกว่าพวกเขาคือเราเตอร์
ดังนั้นลูกค้าจะยอมรับว่ามันได้รับความไว้วางใจ
และกำลังจะตอบรับแม้จะไม่ได้ส่งคำขอก็ตาม
จากนั้นเราจะส่งการตอบกลับไปยังเราเตอร์อีกครั้งเพื่อบอกว่าเราเป็นลูกค้า
นี่คือสิ่งที่จะทำ มันจะแก้ไขรายการในตาราง
ARP ทั้งในเราเตอร์และในไคลเอนต์
และสำหรับไคลเอนต์ มันจะประกอบด้วยที่อยู่ Mac ของแฮกเกอร์ และจะเชื่อมโยงกับที่อยู่ของเราเตอร์
ที่อยู่ IP.
โดยพื้นฐานแล้วสิ่งที่จะเกิดขึ้นคือมันจะแก้ไขที่อยู่
Mac ที่นี่ และมันจะเปลี่ยนเป็นที่อยู่
Mac ของผู้โจมตี
และแทนที่จะเป็นที่อยู่ Mac จริงของเราเตอร์
เมื่อสิ่งนี้เกิดขึ้น แฮ็กเกอร์จะอยู่ตรงกลางของการเชื่อมต่อ
และพวกเขาจะสามารถอ่าน วิเคราะห์
และแก้ไขแพ็กเก็ตได้ เนื่องจากพวกมันจะไหลผ่านอุปกรณ์แฮ็กเกอร์
มาทำพิษ ARP กันเถอะ
การโจมตีด้วยพิษ ARP ปกติเหมือนที่เราทำเป็นประจำ
และเมื่อฉันกลับมาที่นี่
ฉันจะรันคำสั่งเดียวกัน
ผมจะทำการ arp-a อีกครั้ง
และสังเกตว่าที่อยู่ Mac จะแตกต่างกันอย่างไร
ดังนั้นที่อยู่ Mac สำหรับเราเตอร์ มันเคยเป็นที่อยู่นี้
และเมื่อเรารันคำสั่ง
ที่อยู่ Mac ก็เปลี่ยนเป็นอันนี้
และที่อยู่ Mac ตรงนี้คือที่อยู่
Mac ของการ์ดเครือข่ายที่ผู้โจมตีใช้
ดังนั้น ถ้าฉันมาที่นี่และทำ ifconfig
คุณจะเห็นว่านี่คือที่อยู่ Mac
ซึ่งเป็นที่อยู่ Mac เดียวกันกับที่แสดงที่นี่
นี่เป็นวิธีที่ง่ายและง่ายที่สุดในการค้นพบการโจมตีด้วยพิษ
ARP
มันไม่ใช่วิธีที่สะดวกที่สุด
เพราะคุณจะต้องทำคำสั่งนี้ต่อไป และเปรียบเทียบรายการต่างๆ
ต่อไป หากคุณต้องการตรวจสอบว่าคุณถูกวางยาพิษจาก
ARP หรือไม่
ดังนั้นจึงมีเครื่องมือที่เรียกว่า
XRP ซึ่งทำโดยอัตโนมัติสำหรับคุณ และพร้อมใช้งานสำหรับ
Linux และ Windows
ดังนั้นฉันจึงดาวน์โหลดแล้ว
คุณสามารถเพียงแค่ Google XRP และคุณสามารถดาวน์โหลดได้
ง่ายมากที่จะดาวน์โหลดและติดตั้ง
และฉันจะเรียกใช้มัน
ฉันจะหยุดการโจมตีก่อนแล้วจึงเรียกใช้เครื่องมือ
ตอนนี้สังเกตว่าเมื่อคุณหยุดการโจมตี
ที่อยู่ IP จะกลับไปเป็นเหมือนเดิม
ดังนั้นคุณจะเห็นได้ว่าที่อยู่ Mac ของเราเตอร์นั้นกลับเป็นค่าเริ่มต้นที่ถูกต้องของเราเตอร์
ดังนั้นฉันจะใช้ XRP ในตอนนี้และคุณจะเห็นว่าทุกอย่างดี
และคุณจะเห็นว่าค่าต่างๆ นั้นคล้ายกับที่เราทำตอนทำ
arp-a มาก
ดังนั้นเราจึงมีที่อยู่ IP
และที่อยู่ Mac ที่เกี่ยวข้องกัน
โดยพื้นฐานแล้วเครื่องมือนี้ทำอะไร
มันก็แค่ตรวจสอบสิ่งนี้โดยอัตโนมัติ
และเมื่อใดก็ตามที่มีการเปลี่ยนแปลง มันจะรู้ว่ามีบางอย่างผิดปกติเกิดขึ้นเนื่องจากที่อยู่
IP แต่ละรายการควรมีที่อยู่ Mac ที่ไม่ซ้ำกัน
ไม่ควรมีรายการซ้ำกันในเครือข่าย
ฉันจะทำการโจมตีด้วยพิษ ARP อีกครั้ง เหมือนที่เราทำก่อนหน้านี้
และเมื่อเรามาที่นี่ คุณจะเห็นว่า
XRP กำลังแจ้งเตือนเราและบอกเราว่ามีบางอย่างเกิดขึ้น
มันบอกเราว่าที่อยู่ Mac สำหรับเราเตอร์ซึ่งก็คือ
10 20. 14. 1. IP ได้เปลี่ยนจากสิ่งนี้เป็นสิ่งนั้น
และถ้าเราดูที่นี่ ฉันจะคลิกตกลง และถ้าเราดูที่นี่
เราจะเห็นว่าเครื่องที่ได้รับผลกระทบคือเราเตอร์
เครื่องของฉันเองตอนนี้ และผู้โจมตี
ขอโทษนะ นั่นคือฉัน และนั่นคือผู้โจมตี
โดยพื้นฐานแล้วเรารู้ว่าเครื่องที่ 10 20. 14. 203 กำลังพยายามทำการโจมตีด้วยพิษ
ARP
เนื่องจากเป็นที่อยู่
Mac ของเราเตอร์ที่เปลี่ยนไป
ดังนั้นเราจึงรู้ว่านี่คือเครื่องโจมตี
ดังนั้นเครื่องมือนี้จึงมีประโยชน์มากเพราะมันทำการตรวจสอบให้เราโดยอัตโนมัติและจะบอกเราเมื่อใดก็ตามที่มีคนพยายามทำให้
ARP วางยาพิษเครือข่าย